JP5117555B2 - Threat analysis support device and threat analysis support program - Google Patents

Description

本発明の実施形態は、脅威分析支援装置及び脅威分析支援プログラムに関する。   Embodiments described herein relate generally to a threat analysis support apparatus and a threat analysis support program.

高度な情報セキュリティが要求される情報処理システム及び装置（以下、情報処理システムという）の設計においては、セキュリティ脅威に対して安全な対策をとる必要がある。このため、対象とする情報処理システムに存在するセキュリティ脅威を網羅的に挙げ、各脅威に対抗可能な対策を策定する脅威分析を実行する必要がある。   In designing information processing systems and devices (hereinafter referred to as information processing systems) that require high information security, it is necessary to take safe measures against security threats. For this reason, it is necessary to comprehensively list the security threats present in the target information processing system and to execute threat analysis to formulate measures that can counter each threat.

例えば、情報セキュリティの評価基準であるＩＳＯ／ＩＥＣ１５４０８では、セキュリティターゲット（ＳＴ）と呼ばれるセキュリティの基本設計書において、前述したセキュリティ脅威を挙げ、各脅威に技術的あるいは運用的な対策を策定したことを示す脅威分析の実施内容を記載することが、認証を受けるための１つの要素として要求される。   For example, ISO / IEC 15408, which is an evaluation standard for information security, lists the security threats mentioned above in the basic security design document called Security Target (ST), and established technical or operational measures for each threat. It is required as an element for receiving the authentication to describe the contents of the threat analysis.

しかしながら、脅威分析を実行するユーザは、分析対象の情報処理システムに関する知識やセキュリティ技術に関する高度な知識をもつことが要求される。   However, a user who performs threat analysis is required to have knowledge about an information processing system to be analyzed and advanced knowledge about security technology.

そこで、ユーザによる脅威分析を支援する技術が数多く考案されている。例えば、分析対象の情報処理システムに存在する保護資産と保護資産への攻撃主体に対し、想定されるセキュリティ脅威とそれに対する対策を抽出する技術が知られている。   Therefore, many technologies for supporting threat analysis by users have been devised. For example, there is known a technique for extracting an assumed security threat and countermeasures against a protected asset existing in an information processing system to be analyzed and an attack subject to the protected asset.

特開２００５−２５５２３号公報JP 2005-25523 A 特開２００９−２３０２７８号公報JP 2009-230278 A

情報技術セキュリティ評価のためのコモンクライテリア パート１：概説と一般モデル（バージョン３．１改訂第１版）、［online］、2007.4.18、独立行政法人 情報処理推進機構 セキュリティセンター 情報セキュリティ認証室、［2008.2.20検索］、インターネット（ＵＲＬ：http://www.ipa.go.jp/security/jisec/evalbs.html）Common Criteria for Information Technology Security Evaluation Part 1: Overview and General Model (Version 3.1 Revised 1st Edition), [online], 2007.4.18, Information-technology Promotion Agency, Security Center Information Security Certification Office, [ 2008.2.20 Search], Internet (URL: http://www.ipa.go.jp/security/jisec/evalbs.html)

しかしながら、以上のような脅威分析を支援する技術は、通常は特に問題ないが、本発明者の検討によれば、脅威分析を実行する前から既に実施が決定している対策についても、脅威分析を実行して策定する必要があるため、脅威分析の労力や分析コストが余分にかかる不都合がある。   However, the technology that supports threat analysis as described above is usually not particularly problematic, but according to the study of the present inventor, measures that have already been decided to be implemented before the threat analysis is performed are also analyzed. Therefore, there is an inconvenience that extra labor and analysis cost of threat analysis are required.

本明細書に開示された実施形態は、分析対象の情報処理システムに既に存在する対策に関する脅威分析の労力やコストを低減し得る脅威分析支援装置及び脅威分析支援プログラムを提供することを目的とする。   Embodiments disclosed in the present specification are intended to provide a threat analysis support apparatus and a threat analysis support program that can reduce the labor and cost of threat analysis related to measures that already exist in an information processing system to be analyzed. .

実施形態によれば、脅威分析支援装置は、分析対象の情報処理システムに対する脅威分析を支援する。   According to the embodiment, the threat analysis support device supports threat analysis for an information processing system to be analyzed.

ここで、実施形態の脅威分析支援装置は、脅威分析情報記憶部、システム情報記憶部、入力部、脅威抽出部及び出力部を備えている。   Here, the threat analysis support apparatus of the embodiment includes a threat analysis information storage unit, a system information storage unit, an input unit, a threat extraction unit, and an output unit.

実施形態のシステム情報記憶部は、情報処理システムにアクセス可能な関与者を定義する関与者定義表を記憶する。また、実施形態のシステム情報記憶部は、情報処理システムに保存された情報のうち、保護対象である保護資産情報を定義する保護資産定義表を記憶する。また、実施形態のシステム情報記憶部は、情報処理システムを構成する要素に関し、名称及び種別を関連付けて定義するシステム要素定義表を記憶する。   The system information storage unit of the embodiment stores a participant definition table that defines participants who can access the information processing system. The system information storage unit of the embodiment stores a protected asset definition table that defines protected asset information that is a protection target among information stored in the information processing system. In addition, the system information storage unit of the embodiment stores a system element definition table that defines names and types in association with elements that constitute the information processing system.

実施形態の脅威分析情報記憶部は、情報処理システムに実装されるセキュリティ対策機能に関し、種別を示す対策種別情報毎に、システム要素定義表で定義された種別又は保護資産定義表で定義された保護資産情報の範囲内で置換される対策主体可変要素を示す対策主体、関与者定義表で定義された関与者又は保護資産定義表で定義された保護資産情報の範囲内で置換される対策対象可変要素を示す対策対象、及び保護資産定義表で定義された保護資産情報の範囲内で置換される対策操作可変要素を含む操作又は対策操作可変要素を含まない操作を示す対策操作を含む対策内容情報と、セキュリティ対策機能により対抗可能な脅威に関し、関与者定義表で定義された関与者の範囲内で置換される脅威主体可変要素を示すか又は第三者を示す脅威主体、システム要素定義表で定義された種別又は保護資産定義表で定義された保護資産情報の範囲内で置換される脅威対象可変要素を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報とを関連付けて示す対策−脅威対応表を記憶する。   The threat analysis information storage unit of the embodiment relates to the security measure function implemented in the information processing system, and for each measure type information indicating the type, the type defined in the system element definition table or the protection defined in the protected asset definition table Countermeasure entity indicating the countermeasure entity variable element that is replaced within the asset information range, the participant defined in the participant definition table, or the countermeasure target variable that is replaced within the protected asset information range defined in the protected asset definition table Countermeasure content information including countermeasure operation indicating the target of the action and the operation including the countermeasure operation variable element to be replaced within the scope of the protected asset information defined in the protected asset definition table or the operation not including the countermeasure operation variable element Threats that can be countered by the security countermeasure function and threat actor variable elements that are replaced within the scope of participants defined in the participant definition table or threats that indicate third parties Threat content information including the subject, threat type indicating threat target variable element to be replaced within the scope of protected asset information defined in the type or protected asset definition table defined in the system element definition table, and threat operation indicating the operation Is stored as a countermeasure-threat correspondence table.

実施形態の入力部は、対策種別情報の指定を受け付けると、この対策種別情報に関連付けられた対策内容情報を出力部に表示させる。   When the input unit of the embodiment receives the specification of the measure type information, the input unit displays the measure content information associated with the measure type information on the output unit.

実施形態の入力部は、対策内容情報の表示中、当該対策内容情報内の対策主体の選択を受け付けると、この対策主体における対策主体可変要素に関連付けてシステム要素定義表で定義された種別の値又は保護資産定義表で定義された保護資産情報の値を出力部に表示させ、この表示させた種別の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた種別の値に関連付けられた名称の値又は当該選択を受け付けた保護資産情報の値で当該対策主体可変要素を置換する。   When the input unit of the embodiment accepts selection of the countermeasure entity in the countermeasure content information while the countermeasure content information is displayed, the value of the type defined in the system element definition table in association with the countermeasure entity variable element in the countermeasure entity Or, when the value of the protected asset information defined in the protected asset definition table is displayed in the output section and the selection of the displayed type value or the value of the protected asset information is accepted, the selection is associated with the accepted type value. The countermeasure entity variable element is replaced with the value of the designated name or the value of the protected asset information that has received the selection.

実施形態の入力部は、対策内容情報の表示中、当該対策内容情報内の対策対象の選択を受け付けると、この対策対象における対策対象可変要素に関連付けて関与者定義表で定義された関与者の値又は保護資産定義表で定義された保護資産情報の値を出力部に表示させ、この表示させた関与者の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた関与者の値又は保護資産情報の値で当該対策対象可変要素を置換する。   When the input unit of the embodiment receives the selection of the countermeasure target in the countermeasure content information while the countermeasure content information is displayed, the input unit of the participant defined in the participant definition table in association with the countermeasure target variable element in the countermeasure target When the value or value of protected asset information defined in the protected asset definition table is displayed in the output section and the selection of the displayed participant value or protected asset information value is accepted, the The countermeasure target variable element is replaced with the value or the value of the protected asset information.

実施形態の入力部は、対策内容情報の表示中、当該対策内容情報内の対策操作の選択を受け付けると、この対策操作に対策操作可変要素を含む場合には対策操作可変要素に関連付けて保護資産定義表で定義された保護資産情報の値を出力部に表示させ、この表示させた保護資産情報の値の選択を受け付けると、この選択を受け付けた保護資産情報の値で当該対策操作可変要素を置換する。逆に、対策操作に対策操作可変要素を含まない場合には、当該対策操作の置換は行わない。   In the embodiment, when the countermeasure content information is displayed, the input unit receives a selection of the countermeasure operation in the countermeasure content information. When the countermeasure operation includes a countermeasure operation variable element, the input unit protects the asset in association with the countermeasure operation variable element. When the value of the protected asset information defined in the definition table is displayed in the output section and the selection of the displayed value of the protected asset information is accepted, the countermeasure operation variable element is set with the value of the protected asset information that has received this selection. Replace. Conversely, if the countermeasure operation does not include a countermeasure operation variable element, the countermeasure operation is not replaced.

実施形態の入力部は、指定を受け付けた対策種別情報と、この対策種別情報に関連付けられた対策内容情報であって、当該置換された名称の値又は保護資産情報の値を示す対策主体、当該置換された関与者の値又は保護資産情報の値を示す対策対象、及び当該置換された保護資産情報の値を示すか又は操作を示す対策操作を含む当該対策内容情報とを関連付けて示す対策情報定義表をシステム情報記憶部に書き込む。   The input unit of the embodiment includes countermeasure type information for which designation has been received, and countermeasure content information associated with the countermeasure type information, the countermeasure entity indicating the value of the replaced name or the value of protected asset information, Countermeasure information indicating the target of countermeasure indicating the replaced participant value or the value of protected asset information, and the countermeasure content information indicating the value of the replaced protected asset information or including the countermeasure operation information indicating the operation Write the definition table to the system information storage unit.

実施形態のシステム情報記憶部は、書き込まれた対策情報定義表を記憶する。   The system information storage unit of the embodiment stores the written countermeasure information definition table.

実施形態の脅威抽出部は、対策情報定義表内の対策種別情報毎に、この対策種別情報に一致する対策種別情報に対策−脅威対応表内で関連付けられた脅威内容情報が脅威主体可変要素を示す脅威主体を含むとき、この脅威主体可変要素を、当該対策情報定義表内で当該対策種別情報に関連付けられた対策対象が示す関与者の値で置換する。   For each measure type information in the measure information definition table, the threat extraction unit of the embodiment converts the threat content information associated with the measure type information that matches the measure type information to the measure-type information corresponding to the measure type information. When the threat subject indicated is included, this threat subject variable element is replaced with the value of the participant indicated by the measure target associated with the measure type information in the measure information definition table.

実施形態の脅威抽出部は、対策情報定義表内の対策種別情報毎に、この対策種別情報に一致する対策種別情報に対策−脅威対応表内で関連付けられた脅威内容情報内の脅威対象が示す脅威対象可変要素を、当該対策情報定義表内で当該対策種別情報に関連付けられた対策主体、対策対象又は対策操作のうちのいずれかが示す名称の値又は保護資産情報の値で置換する。   The threat extraction unit of the embodiment indicates, for each countermeasure type information in the countermeasure information definition table, the threat target in the threat content information associated with the countermeasure type information matching the countermeasure type information in the countermeasure-threat correspondence table. The threat target variable element is replaced with the name value or the protected asset information value indicated by any of the countermeasure entity, countermeasure target, or countermeasure operation associated with the countermeasure type information in the countermeasure information definition table.

実施形態の脅威抽出部は、対策情報定義表内の対策種別情報に一致する対策種別情報に関連付けられた脅威内容情報であって、当該置換された関与者の値を示す脅威主体、当該置換された名称の値又は保護資産情報の値を示す脅威対象、及び脅威操作を含む当該脅威内容情報を第１の脅威表としてシステム情報記憶部に書き込む。   The threat extraction unit of the embodiment is threat content information associated with countermeasure type information that matches the countermeasure type information in the countermeasure information definition table, the threat subject indicating the value of the replaced participant, The threat content indicating the name value or the protected asset information value and the threat content information including the threat operation are written in the system information storage unit as the first threat table.

実施形態のシステム情報記憶部は、書き込まれた第１の脅威表を記憶する。   The system information storage unit of the embodiment stores the written first threat table.

各実施形態に共通する脅威分析支援装置のハードウェア構成を示すブロック図である。It is a block diagram which shows the hardware constitutions of the threat analysis assistance apparatus common to each embodiment. 第１の実施形態に係る脅威分析支援装置の構成の一例を示す機能ブロック図である。It is a functional block diagram which shows an example of a structure of the threat analysis assistance apparatus which concerns on 1st Embodiment. 同実施形態における対策−脅威対応表の一例を示す模式図である。It is a schematic diagram which shows an example of the countermeasure-threat correspondence table in the same embodiment. 同実施形態における関与者定義表の一例を示す模式図である。It is a schematic diagram which shows an example of the participant definition table | surface in the same embodiment. 同実施形態における保護資産定義表の一例を示す模式図である。It is a schematic diagram which shows an example of the protected asset definition table | surface in the embodiment. 同実施形態におけるシステム要素定義表の一例を示す模式図である。It is a schematic diagram which shows an example of the system element definition table | surface in the embodiment. 同実施形態における対策情報定義表の一例を示す模式図である。It is a schematic diagram which shows an example of the countermeasure information definition table | surface in the embodiment. 同実施形態における第１の脅威表の一例を示す模式図である。It is a mimetic diagram showing an example of the 1st threat table in the embodiment. 同実施形態におけるシステム個別情報入力画面に表示された情報の一例を示す模式図である。It is a schematic diagram which shows an example of the information displayed on the system individual information input screen in the embodiment. 同実施形態における対策要件入力画面の一例を示す模式図である。It is a schematic diagram which shows an example of the countermeasure requirement input screen in the embodiment. 同実施形態における対策要件入力画面に表示された情報の一例を示す模式図である。It is a schematic diagram which shows an example of the information displayed on the countermeasure requirement input screen in the embodiment. 同実施形態における対策要件入力画面に表示された情報の一例を示す模式図である。It is a schematic diagram which shows an example of the information displayed on the countermeasure requirement input screen in the embodiment. 同実施形態における動作を説明するためのフローチャートである。It is a flowchart for demonstrating the operation | movement in the embodiment. 同実施形態における動作を説明するための模式図である。It is a schematic diagram for demonstrating the operation | movement in the embodiment. 同実施形態における動作を説明するための模式図である。It is a schematic diagram for demonstrating the operation | movement in the embodiment. 第２の実施形態に係る脅威分析支援装置の構成の一例を示す機能ブロック図である。It is a functional block diagram which shows an example of a structure of the threat analysis assistance apparatus which concerns on 2nd Embodiment. 同実施形態における動作を説明するためのフローチャートである。It is a flowchart for demonstrating the operation | movement in the embodiment.

以下、各実施形態について図面を参照して説明する。   Each embodiment will be described below with reference to the drawings.

（第１の実施形態）
図１は各実施形態に共通する脅威分析支援装置のハードウェア構成を示すブロック図であり、図２は同装置の構成の一例を示す機能ブロック図であって、図３乃至図８は同装置に用いられる各情報の一例を示す模式図である。コンピュータ１０は、図１に示すように、例えばハードディスクドライブ（HDD：Hard Disk Drive）のような外部記憶装置２０と接続されている。この外部記憶装置２０は、コンピュータ１０によって実行されるプログラム２１を格納する。コンピュータ１０及び外部記憶装置２０は、脅威分析支援装置３０を構成している。脅威分析支援装置３０は、分析対象の情報処理システム（図示せず）に対する脅威分析を支援するものである。脅威分析支援装置３０は、例えば図２に示すように、脅威分析情報記憶部３１、システム情報記憶部３２、入力部３３、脅威抽出部３４、出力部３５及び制御部３６を備えている。このような脅威分析支援装置３０は、ハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又は外部記憶装置２０からコンピュータ１０にインストールされ、脅威分析支援装置３０の各機能を実現させるためのプログラム２１が用いられる。 (First embodiment)
FIG. 1 is a block diagram showing a hardware configuration of a threat analysis support apparatus common to the embodiments, FIG. 2 is a functional block diagram showing an example of the configuration of the apparatus, and FIGS. It is a schematic diagram which shows an example of each information used for. As shown in FIG. 1, the computer 10 is connected to an external storage device 20 such as a hard disk drive (HDD). The external storage device 20 stores a program 21 executed by the computer 10. The computer 10 and the external storage device 20 constitute a threat analysis support device 30. The threat analysis support device 30 supports threat analysis for an information processing system (not shown) to be analyzed. As shown in FIG. 2, for example, the threat analysis support apparatus 30 includes a threat analysis information storage unit 31, a system information storage unit 32, an input unit 33, a threat extraction unit 34, an output unit 35, and a control unit 36. Such a threat analysis support apparatus 30 can be implemented in either a hardware configuration or a combination configuration of hardware resources and software. As the software of the combined configuration, a program 21 that is installed in the computer 10 from the network or the external storage device 20 in advance and realizes each function of the threat analysis support device 30 is used.

ここで、脅威分析情報記憶部３１は、脅威分析に必要な情報のうち、分析対象の情報処理システムに依存しない情報を記憶している。具体的には脅威分析情報記憶部３１は、図３に示すように、セキュリティ脅威に対抗するために考え得る対策（セキュリティ対策機能）と、この対策によって対抗できる脅威とを関連付けて示した情報として、例えば対策−脅威対応表１００を記憶している。この対策−脅威対応表１００の各行は、表の左半分に対策としてのセキュリティ対策機能が、右半分にそれにより対抗可能な脅威が示されている。すなわち、各行毎に、右半分に書かれた脅威に対し、左半分に書かれた対策が有効なことを示している。   Here, the threat analysis information storage unit 31 stores information that does not depend on the information processing system to be analyzed among information necessary for threat analysis. Specifically, as shown in FIG. 3, the threat analysis information storage unit 31 includes information that indicates a possible countermeasure (security countermeasure function) to counter a security threat and a threat that can be countered by this countermeasure in association with each other. For example, the countermeasure-threat correspondence table 100 is stored. In each row of the countermeasure-threat correspondence table 100, a security countermeasure function as a countermeasure is shown in the left half of the table, and threats that can be countered by that are shown in the right half. That is, for each line, the countermeasure written in the left half is effective against the threat written in the right half.

詳しくは、対策−脅威対応表１００は、情報処理システムに実装されるセキュリティ対策機能に関し、種別を示す対策種別情報毎に、システム要素定義表１０３で定義された種別又は保護資産定義表１０２で定義された保護資産情報の範囲内で置換される対策主体可変要素を示す対策主体、関与者定義表１０１で定義された関与者又は保護資産定義表１０２で定義された保護資産情報の範囲内で置換される対策対象可変要素を示す対策対象、及び保護資産定義表１０２で定義された保護資産情報の範囲内で置換される対策操作可変要素を含む操作又は対策操作可変要素を含まない操作を示す対策操作を含む対策内容情報と、セキュリティ対策機能により対抗可能な脅威に関し、関与者定義表１０１で定義された関与者の範囲内で置換される脅威主体可変要素を示すか又は第三者を示す脅威主体、システム要素定義表１０３で定義された種別又は保護資産定義表１０２で定義された保護資産情報の範囲内で置換される脅威対象可変要素を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報とを行ごとに関連付けて示している。   Specifically, the countermeasure-threat correspondence table 100 relates to the security countermeasure function implemented in the information processing system, and is defined by the type defined in the system element definition table 103 or the protected asset definition table 102 for each countermeasure type information indicating the type. Replaced within the scope of the protected asset information, the countermeasure entity indicating the countermeasure entity variable element to be replaced, the participant defined in the participant definition table 101 or the protected asset information defined in the protected asset definition table 102 Measures indicating countermeasure targets that are to be taken and measures that include or do not include countermeasure manipulation variable elements that are replaced within the scope of the protected asset information defined in the protected asset definition table 102 Threats to be replaced within the scope of participants defined in the participant definition table 101 regarding countermeasure content information including operations and threats that can be countered by the security countermeasure function A threat subject variable element that indicates a subject variable element or a threat subject that represents a third party, a type defined in the system element definition table 103, or a threat target variable element that is replaced within the scope of the protected asset information defined in the protected asset definition table 102 The threat target information and threat content information including the threat operation indicating the operation are shown in association with each other.

なお、説明の便宜上、「対策主体」及び「脅威主体」は、単に「主体」ともいう。同様に、「対策対象」及び「脅威対象」は、単に「対象」ともいい、「対策操作」及び「脅威操作」は、単に「操作」ともいう。また同様に、「対策主体可変要素」、「対策対象可変要素」、「対策操作可変要素」、「脅威主体可変要素」及び「脅威対象可変要素」は、単に「可変要素」ともいう。   For convenience of explanation, the “measure subject” and the “threat subject” are also simply referred to as “subjects”. Similarly, “measure target” and “threat target” are also simply referred to as “target”, and “countermeasure operation” and “threat operation” are also simply referred to as “operation”. Similarly, the “countermeasure variable element”, “measure target variable element”, “countermeasure variable element”, “threat subject variable element”, and “threat target variable element” are also simply referred to as “variable elements”.

補足すると、対策−脅威対応表１００は、例えば「認証」といった対策種別（対策種別情報）毎に、当該対策種別の内容を定義するために必要な対策の内容（対策内容情報）と、この対策によって対抗できる脅威の内容（脅威内容情報）とを、主体、対象及び操作に詳細化して示している。   Supplementally, the countermeasure-threat correspondence table 100 includes, for each countermeasure type (measurement type information) such as “authentication”, the contents of the countermeasure (measurement content information) necessary for defining the contents of the countermeasure type, and the countermeasures. The details of threats (threat content information) that can be countered by the above are shown in detail for the subject, the target, and the operation.

対策種別情報は、一般的に想定される対策の種別を示し、例えば認証、アクセス制御（許可）、アクセス制御（禁止）、ＩＤＳ（Intrusion Detection System）／ＩＰＳ（Intrusion Prevention System）、ファイアウォール、ログ、暗号化、電子署名及びメッセージ認証等のセキュリティ対策機能を示すが、これらに限定されない。   The countermeasure type information indicates the type of countermeasure generally assumed. For example, authentication, access control (permitted), access control (prohibited), IDS (Intrusion Detection System) / IPS (Intrusion Prevention System), firewall, log, Security countermeasure functions such as encryption, electronic signature, and message authentication are shown, but not limited thereto.

対策内容情報は、対策種別情報毎の対策の要件を示し、主体（誰が・何が）、対象（誰を・誰に）、操作（どうする）に詳細化して示される。また、脅威内容情報は、この対策内容情報が示す対策によって対抗できる脅威の要件を示し、対策内容情報と同様に、主体、対象及び操作に詳細化して示される。例えば、図３に示された対策種別「認証」の対策内容は、主体「［システム］は」、対象「［関与者］を」及び操作「認証する」により示され、この対策によって対抗できる脅威内容は、主体「［関与者］以外が［関与者］に」、対象「［システム］に対して」及び操作「なりすます」と示されている。なお、これら大括弧内（例えば、前述した［システム］のシステム部分等）は、ユーザ（分析者）の操作に応じて、システム情報記憶部３２に記憶された情報で置換される可変要素を示す。   The countermeasure content information indicates the countermeasure requirements for each countermeasure type information, and is shown in detail for the subject (who / what), the target (who / who), and the operation (how). The threat content information indicates the threat requirements that can be countered by the countermeasure indicated by the countermeasure content information, and is shown in detail by subject, target, and operation in the same manner as the countermeasure content information. For example, the countermeasure content of the countermeasure type “authentication” shown in FIG. 3 is indicated by the subject “[system]”, the target “[participant]”, and the operation “authenticate”, and the threat that can be countered by this countermeasure The contents are shown as the subject “other than [participant] to [participant]”, the object “to [system]” and the operation “spoof”. The brackets (for example, the system part of [System] described above) indicate variable elements that are replaced with information stored in the system information storage unit 32 according to the operation of the user (analyzer). .

システム情報記憶部３２は、脅威分析に必要な情報のうち、分析者によって入力され、分析対象の情報処理システムに依存する情報（システム個別情報）及び脅威分析の結果に関する情報とを記憶する。システム個別情報としては、例えば、関与者定義表１０１、保護資産定義表１０２及びシステム要素定義表１０３等の情報処理システムに関する情報と、対策情報定義表１０４及び第１の脅威表１０５等の脅威分析結果に関する情報とがある。   The system information storage unit 32 stores information (system individual information) that is input by the analyst and depends on the information processing system to be analyzed and information related to the result of the threat analysis among the information necessary for the threat analysis. The system individual information includes, for example, information on information processing systems such as a participant definition table 101, a protected asset definition table 102, and a system element definition table 103, and threat analysis such as a countermeasure information definition table 104 and a first threat table 105. There is information about the results.

関与者定義表１０１は、分析対象の情報処理システムにアクセス可能な関与者を定義する関与者定義情報であり、例えば図４に示すように、管理者及び一般利用者等を示して関与者を定義している。関与者の識別には、この例のように関与者の役割を示しても良いし、個別の識別子を示しても良い。   The participant definition table 101 is participant definition information that defines participants who can access the information processing system to be analyzed. For example, as shown in FIG. Defined. For identification of the participant, the role of the participant may be indicated as in this example, or an individual identifier may be indicated.

保護資産定義表１０２は、分析対象の情報処理システムに保存された情報のうち、保護対象である保護資産情報を定義する保護資産定義情報であり、例えば図５に示すように、顧客情報及びシステム管理情報等を示して保護資産情報を定義している。   The protected asset definition table 102 is protected asset definition information that defines the protected asset information to be protected among the information stored in the information processing system to be analyzed. For example, as shown in FIG. Protected asset information is defined by showing management information.

システム要素定義表１０３は、分析対象の情報処理システムを構成する要素（例えば、ハードウェア、記憶媒体、通信路及びシステム等）に関し、要素名（名称）及び種別を関連付けて定義するシステム要素定義情報であり、例えば図６の最下行に示すように、要素名を示した営業支援システムと、種別を示したシステムとを関連付けてシステムの構成要素を定義している。   The system element definition table 103 relates to elements (for example, hardware, storage medium, communication path, system, etc.) constituting the information processing system to be analyzed, and system element definition information that defines element names (names) and types in association with each other. For example, as shown in the bottom row of FIG. 6, the system support elements are defined by associating the sales support system indicating the element name with the system indicating the type.

対策情報定義表１０４は、脅威抽出部３４により指定を受け付けた対策種別情報と、この対策種別情報に関連付けられた対策内容情報であって、脅威抽出部３４により置換された名称の値又は保護資産情報の値を示す対策主体、脅威抽出部３４により置換された関与者の値又は保護資産情報の値を示す対策対象、及び脅威抽出部３４により置換された保護資産情報の値を含む操作又は保護資産情報の値を含まない操作を示す対策操作を含む当該対策内容情報とを関連付けて示す対策情報定義情報である。対策情報定義表１０４は、例えば図７に示すように、対策種別毎に、分析対象の情報処理システムに既に存在する対策の具体的な内容を示し、対策種別を表す「認証」と、具体的な対策内容を表す「営業支援システムは一般利用者を認証する」とを関連付けて示す。   The countermeasure information definition table 104 includes countermeasure type information received by the threat extraction unit 34 and countermeasure content information associated with the countermeasure type information. The value of the name replaced by the threat extraction unit 34 or the protected asset Operation or protection including the countermeasure entity indicating the value of information, the value of the participant replaced by the threat extraction unit 34 or the countermeasure target indicating the value of the protected asset information, and the value of the protected asset information replaced by the threat extraction unit 34 This is countermeasure information definition information that is associated with the countermeasure content information including the countermeasure operation indicating the operation that does not include the asset information value. For example, as shown in FIG. 7, the countermeasure information definition table 104 indicates the specific contents of the countermeasure already existing in the information processing system to be analyzed for each countermeasure type, “authentication” indicating the countermeasure type, "Sales support system authenticates general users", which represents the contents of various countermeasures.

第１の脅威表１０５は、対策情報定義表１０４内の対策種別情報に一致する対策種別情報に対策−脅威対応表１００により関連付けられた脅威内容情報であって、脅威抽出部３４により置換された関与者の値を示す脅威主体、脅威抽出部３４により置換された名称の値又は保護資産情報の値を示す脅威対象、及び脅威操作を含む当該脅威内容情報からなる第１の脅威定義情報である。第１の脅威表１０５は、例えば図８に示すように、分析対象の情報処理システムに既に存在する対策によって対抗できる脅威の具体的な内容を示し、具体的な脅威内容を表す「一般利用者が一般利用者以外に営業支援システムに対してなりすます」を示す。この脅威内容は、対策情報定義表１０４に定義された対策内容「営業支援システムは一般利用者を認証する」から対策−脅威対応表１００を用いて導かれたものである。   The first threat table 105 is threat content information associated by the countermeasure-threat correspondence table 100 with the countermeasure type information matching the countermeasure type information in the countermeasure information definition table 104, and has been replaced by the threat extraction unit 34. It is first threat definition information comprising a threat subject indicating a value of a participant, a threat target indicating a value of a name replaced by the threat extraction unit 34 or a value of protected asset information, and the threat content information including a threat operation. . For example, as shown in FIG. 8, the first threat table 105 shows specific contents of threats that can be countered by countermeasures that already exist in the information processing system to be analyzed. Impersonates the sales support system other than general users. " This threat content is derived by using the countermeasure-threat correspondence table 100 from the countermeasure contents defined in the countermeasure information definition table 104 “the sales support system authenticates a general user”.

補足すると、関与者定義表１０１、保護資産定義表１０２及びシステム要素定義表１０３は、分析者の操作に応じて、対策−脅威対応表１００に示された対策内容の大括弧内の可変要素を置換するために用いられる。例えば、対策−脅威対応表１００の対策種別「認証」に関連付けて示された対策内容の主体「［システム］は」の大括弧内の可変要素は、システム要素定義表１０３で定義して選択された種別の値“システム”に関連付けられた名称の値“営業支援システム”に置換され、対策内容の対象「［関与者］を」の大括弧内の可変要素は、関与者定義表１０１で定義して選択された関与者の値“一般利用者”に置換される。また、対策−脅威対応表１００に示された対策種別「認証」に関連付けて示された脅威内容の主体「［関与者］以外が［関与者］に」の大括弧内の可変要素は、対策内容で選択された関与者の値“一般利用者”に置換され、対象「［システム］に対して」の大括弧内の可変要素は、対策内容で選択された種別の値“システム”に関連付けられた名称の値“営業支援システム”に置換される。   Supplementally, in the participant definition table 101, the protected asset definition table 102, and the system element definition table 103, variable elements in square brackets of the countermeasure contents shown in the countermeasure-threat correspondence table 100 are displayed in accordance with the operation of the analyst. Used to replace. For example, the variable element in square brackets of the subject “[System] is” of the countermeasure content indicated in association with the countermeasure type “authentication” in the countermeasure-threat correspondence table 100 is defined and selected in the system element definition table 103. The variable element in square brackets for the target “[participant]” of the countermeasure content is defined in the participant definition table 101 by replacing the value “sales support system” associated with the type value “system”. The selected participant value “normal user” is replaced. In addition, the variable element in the brackets of the subject of the threat content “associated with [other than [participant]” is [participant] ”is the countermeasure The variable value in the brackets of the target “[System]” is related to the value “System” of the type selected in the countermeasure content. It is replaced with the value of the name “sales support system”.

なお、脅威分析情報記憶部３１及びシステム情報記憶部３２は、例えば外部記憶装置２０の一部として実現してもよく、コンピュータ１０内の図示しない記憶装置の一部として実現してもよい。   The threat analysis information storage unit 31 and the system information storage unit 32 may be realized as a part of the external storage device 20, for example, or may be realized as a part of a storage device (not shown) in the computer 10.

入力部３３は、分析者による図示しないキーボード又はマウス等の入力デバイスの操作（以下、「分析者の操作」という）により、入力された情報や、表示中の情報の指定又は選択などを受け付けて各記憶部３１，３２に対して書込／読出処理を実行する入力インターフェースであり、例えば、以下の各機能(f33-1)〜(f33-7)をもっている。   The input unit 33 accepts input information, designation or selection of information being displayed by an operation of an input device such as a keyboard or a mouse (not shown) by an analyst (hereinafter referred to as “analyzer operation”). This is an input interface for executing write / read processing for each storage unit 31, 32, and has, for example, the following functions (f33-1) to (f33-7).

(f33-1) 分析者の操作により、前述した対策−脅威対応表１００を脅威分析情報記憶部３１に書き込む機能。   (f33-1) A function of writing the above-described countermeasure-threat correspondence table 100 in the threat analysis information storage unit 31 by the operation of the analyst.

(f33-2) 分析者の操作により、前述した関与者定義表１０１、保護資産定義表１０２及びシステム要素定義表１０３をシステム情報記憶部３２に書き込む機能。   (f33-2) A function of writing the above-described participant definition table 101, protected asset definition table 102, and system element definition table 103 into the system information storage unit 32 by the analyst's operation.

この機能(f33-2)は、例えば、各機能(f33-2-1)〜(f33-2-3)により実現してもよい。   This function (f33-2) may be realized by the functions (f33-2-1) to (f33-2-3), for example.

(f33-2-1) 例えば図９に示す如き、各定義表１０１〜１０３内の各情報を書込可能に表示する表示領域ｇ４１〜ｇ４３と、分析者の押下操作（クリック操作）により各表示領域ｇ４１〜ｇ４３内の各情報を各定義表１０１〜１０３に書込んで対策要件入力画面Ｇ５０に遷移する旨を表す対策入力遷移ボタンｇ４４とを含むシステム個別情報入力画面Ｇ４０を出力部３４に表示させる機能。     (f33-2-1) As shown in FIG. 9, for example, display areas g41 to g43 for displaying each information in each definition table 101 to 103 so as to be writable, and each display by pressing operation (click operation) by the analyst. A system individual information input screen G40 including a countermeasure input transition button g44 indicating that each information in the areas g41 to g43 is written in the respective definition tables 101 to 103 and transition to the countermeasure requirement input screen G50 is displayed on the output unit 34. Function to let you.

なお、システム個別情報入力画面Ｇ４０を出力部３４に表示させる機能は、システム個別情報入力画面Ｇ４０を表すシステム個別情報入力画面データを予めメモリ（図示せず）に記憶するか入力インターフェースのプログラムに記述して準備しておき、当該準備したシステム個別情報入力画面データの表示領域データに各定義表１０１〜１０３内の各情報を挿入して得られた表示用のシステム個別情報入力画面データを出力部３４に送出することにより、実現可能となっている。他の入力画面Ｇ５０〜Ｇ５２を表示させる機能についても、この入力画面Ｇ４０を表示させる機能と同様にして実現可能となっている。   Note that the function of displaying the system individual information input screen G40 on the output unit 34 is stored in advance in a memory (not shown) as system individual information input screen data representing the system individual information input screen G40 or described in the program of the input interface. The system individual information input screen data for display obtained by inserting each information in the definition tables 101 to 103 into the display area data of the prepared system individual information input screen data is output. This can be realized by sending to 34. The function for displaying the other input screens G50 to G52 can be realized in the same manner as the function for displaying the input screen G40.

(f33-2-2) 対策入力遷移ボタンｇ４４の押下操作の有無を判定する機能。     (f33-2-2) A function for determining whether or not the countermeasure input transition button g44 is pressed.

(f33-2-3) 押下操作有りの場合、各表示領域ｇ４１〜ｇ４３内の各情報を各定義表１０１〜１０３に書込んで対策要件入力画面Ｇ５０に遷移する機能。     (f33-2-3) A function of writing each information in each display area g41 to g43 to each definition table 101 to 103 and transitioning to the countermeasure requirement input screen G50 when there is a pressing operation.

なお、対策要件入力画面Ｇ５０に遷移する機能は、例えば図１０に示す如き、対策要件入力画面Ｇ５０を表す対策要件入力画面データを予めメモリ（図示せず）に記憶するか入力インターフェースのプログラムに記述して準備しておき、対策入力遷移ボタンｇ４４の押下操作を検出した場合に、各表示領域ｇ４１〜ｇ４３内の各情報を各定義表１０１〜１０３に書込んだ後、当該準備した対策要件入力画面データを出力部３４に送出することにより、実現可能となっている。ここで、対策要件入力画面Ｇ５０は、例えば、リストボックス表示ボタンｇ５１を有する対策種別選択領域ｇ５２を含んでいる。   For example, as shown in FIG. 10, the function to transition to the countermeasure requirement input screen G50 stores countermeasure requirement input screen data representing the countermeasure requirement input screen G50 in a memory (not shown) in advance or is described in an input interface program. When the pressing operation of the countermeasure input transition button g44 is detected, the information in the display areas g41 to g43 is written in the definition tables 101 to 103, and then the prepared countermeasure requirement input is performed. This can be realized by sending the screen data to the output unit 34. Here, the countermeasure requirement input screen G50 includes, for example, a countermeasure type selection area g52 having a list box display button g51.

(f33-3) 対策種別情報の指定を受け付けると、この対策種別情報に関連付けられた対策内容情報を出力部３５に表示させる機能。   (f33-3) A function of causing the output unit 35 to display countermeasure content information associated with this countermeasure type information when it receives designation of the countermeasure type information.

この機能(f33-3)は、例えば、各機能(f33-3-1)〜(f33-3-3)により実現してもよい。   This function (f33-3) may be realized by, for example, each function (f33-3-1) to (f33-3-3).

(f33-3-1) 対策要件入力画面Ｇ５０の表示中、分析者によるリストボックス表示ボタンｇ５１のクリック操作により、対策−脅威対応表１００内の対策種別情報を出力部３４にリスト表示させる機能。     (f33-3-1) A function that causes the output unit 34 to display a list of countermeasure type information in the countermeasure-threat correspondence table 100 by clicking the list box display button g51 by the analyst while the countermeasure requirement input screen G50 is being displayed.

(f33-3-2) 対策種別情報のリスト表示中、分析者の操作による対策種別情報の選択を受け付けると、選択された対策種別情報を対策種別選択領域ｇ５２に表示させる機能。     (f33-3-2) A function for displaying the selected measure type information in the measure type selection area g52 when the selection of the measure type information by the operation of the analyst is accepted while the list of the measure type information is displayed.

なお、各機能(f33-3-1)〜(f33-3-2)に代えて、分析者が対策種別情報を対策種別選択領域ｇ５２に書き込んでもよい。   Instead of the functions (f33-3-1) to (f33-3-2), the analyst may write the countermeasure type information in the countermeasure type selection area g52.

(f33-3-3) いずれにしても対策種別選択領域ｇ５２内に対策種別情報を表示中、分析者の操作により、この対策種別情報の指定を受け付けると、この対策種別情報に関連付けられた対策内容情報を対策−脅威対応表１００から読み出して出力部３５に表示させる機能。     (f33-3-3) In any case, when the countermeasure type information is displayed in the countermeasure type selection area g52 and the specification of the countermeasure type information is accepted by the analyst, the countermeasure associated with the countermeasure type information is displayed. A function of reading content information from the countermeasure-threat correspondence table 100 and displaying it on the output unit 35.

この機能(f33-3-4)は、例えば、図１１に示す如き、リストボックス表示ボタンｇ５１を有する対策種別選択領域ｇ５２と、リストボックス表示ボタンｇ５３を有する対策主体選択領域ｇ５４と、リストボックス表示ボタンｇ５５を有する対策対象選択領域ｇ５６と、対策操作表示領域ｇ５７とを含む対策要件入力画面Ｇ５１を出力部３４に表示させる機能によって実現してもよい。   This function (f33-3-4) includes, for example, a countermeasure type selection area g52 having a list box display button g51, a countermeasure main body selection area g54 having a list box display button g53, and a list box display as shown in FIG. You may implement | achieve by the function which displays the countermeasure requirement input screen G51 containing the countermeasure object selection area | region g56 which has the button g55, and the countermeasure operation display area g57 on the output part 34. FIG.

なお、対策要件入力画面Ｇ５１においては、対策内容情報のうち、対策主体可変要素を示す対策主体が対策主体選択領域ｇ５４に表示され、対策対象可変要素を示す対策対象が対策対象選択領域ｇ５６に表示され、操作を示す対策操作が対策操作表示領域ｇ５７に表示されている。対策−脅威対応表１００から読み出した対策主体に可変要素を含まない場合には対策主体選択領域ｇ５４にリストボックス表示ボタンｇ５３は表示されない。同様に、対策−脅威対応表１００から読み出した対策対象に可変要素を含まない場合には対策対象選択領域ｇ５６にリストボックス表示ボタンｇ５５は表示されず、対策−脅威対応表１００から読み出した対策操作に可変要素を含む場合には対策操作表示領域ｇ５７にリストボックス表示ボタンが表示される。   In the countermeasure requirement input screen G51, of the countermeasure content information, the countermeasure entity indicating the countermeasure entity variable element is displayed in the countermeasure entity selection area g54, and the countermeasure object indicating the countermeasure object variable element is displayed in the countermeasure object selection area g56. The countermeasure operation indicating the operation is displayed in the countermeasure operation display area g57. When the countermeasure subject read from the countermeasure-threat correspondence table 100 does not include a variable element, the list box display button g53 is not displayed in the countermeasure subject selection area g54. Similarly, when the countermeasure target read from the countermeasure-threat correspondence table 100 does not include a variable element, the list box display button g55 is not displayed in the countermeasure target selection area g56, and the countermeasure operation read from the countermeasure-threat correspondence table 100 is displayed. When a variable element is included in the list box, a list box display button is displayed in the countermeasure operation display area g57.

このような対策要件入力画面Ｇ５１を出力部３４に表示させる機能は、前述同様に、対策要件入力画面Ｇ５０を表す対策要件入力画面データを予めメモリ（図示せず）に記憶するか入力インターフェースのプログラムに記述して準備しておき、当該準備した対策要件入力画面データの選択領域ｇ５２，ｇ５４，ｇ５５，ｇ５７にそれぞれ対策種別情報、対策主体、対策対象及び対象操作を挿入して得られた表示用の対策要件入力画面データを出力部３４に送出することにより、実現可能となっている。   As described above, the function for displaying the countermeasure requirement input screen G51 on the output unit 34 is to store countermeasure requirement input screen data representing the countermeasure requirement input screen G50 in a memory (not shown) in advance or program the input interface. For display obtained by inserting countermeasure type information, countermeasure main body, countermeasure target and target operation in the selection areas g52, g54, g55, and g57 of the prepared countermeasure requirement input screen data, respectively. This can be realized by sending the countermeasure requirement input screen data to the output unit 34.

(f33-4) 対策内容情報の表示中、当該対策内容情報内の対策主体の選択を受け付けると、この対策主体における対策主体可変要素に関連付けてシステム要素定義表１０３で定義された種別の値又は保護資産定義表１０２で定義された保護資産情報の値を表示し、この表示した種別の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた種別の値に関連付けられた名称の値又は当該選択を受け付けた保護資産情報の値で当該対策主体可変要素を置換する機能。   (f33-4) While the countermeasure content information is being displayed, if the selection of the countermeasure entity in the countermeasure content information is accepted, the value of the type defined in the system element definition table 103 in association with the countermeasure entity variable element in the countermeasure entity or When the value of the protected asset information defined in the protected asset definition table 102 is displayed and the selection of the value of the displayed type or the value of the protected asset information is accepted, the name of the name associated with the value of the type of accepting this selection is displayed. A function that replaces the countermeasure subject variable element with the value or the value of the protected asset information that has received the selection.

(f33-5) 対策内容情報の表示中、当該対策内容情報内の対策対象の選択を受け付けると、この対策対象における対策対象可変要素に関連付けて関与者定義表１０１で定義された関与者の値又は保護資産定義表１０２で定義された保護資産情報の値を表示し、この表示した関与者の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた関与者の値又は保護資産情報の値で当該対策対象可変要素を置換する機能。   (f33-5) If the selection of the countermeasure target in the countermeasure content information is received while the countermeasure content information is displayed, the value of the participant defined in the participant definition table 101 in association with the countermeasure target variable element in the countermeasure target Alternatively, when the value of the protected asset information defined in the protected asset definition table 102 is displayed and the selection of the displayed participant value or the value of the protected asset information is received, the value of the participant who received this selection or the protected asset A function to replace the countermeasure target variable element with the information value.

なお、これらの置換する機能(f33-4),(f33-5)により、図１１に示した対策要件入力画面Ｇ５１の対策要件入力画面データが置換され、置換後の対策要件入力画面データに基づいて、図１２に示す如き、対策要件入力画面Ｇ５２が表示される。この対策要件入力画面Ｇ５２は、前述した選択領域ｇ５４，ｇ５６に代えて、置換後の対策主体の表示領域ｇ５４’と、置換後の対策対象の表示領域ｇ５６’とをもっている。   These replacement functions (f33-4) and (f33-5) replace the countermeasure requirement input screen data on the countermeasure requirement input screen G51 shown in FIG. 11, and based on the countermeasure requirement input screen data after replacement. Then, as shown in FIG. 12, a countermeasure requirement input screen G52 is displayed. This countermeasure requirement input screen G52 has a display area g54 'of a countermeasure main body after replacement and a display area g56' of a countermeasure target after replacement in place of the selection areas g54 and g56 described above.

また、対策要件入力画面Ｇ５２は、分析者の押下操作により、表示領域ｇ５２，ｇ５４’，ｇ５６’，ｇ５７に表示中の各情報を対策定義表１０４に追加して書き込む指示が入力部３３に入力される旨を表す対策追加ボタンｇ５８と、分析者の押下操作により、脅威分析を終了する指示が入力部３３に入力される旨を表す終了ボタンｇ５９とを含んでいる。   In addition, the countermeasure requirement input screen G52 is input to the input unit 33 with an instruction to add each piece of information being displayed in the display areas g52, g54 ′, g56 ′, and g57 to the countermeasure definition table 104 and write the information by pressing the analyzer A countermeasure addition button g58 indicating that the threat analysis is to be performed, and an end button g59 indicating that an instruction to end the threat analysis is input to the input unit 33 by the pressing operation of the analyst.

(f33-6) (f33-4),(f33-5)と同様に、対策内容情報の表示中、当該対策内容情報内の対策操作の選択を受け付けると、この対策操作における対策操作可変要素に関連付けて保護資産定義表１０２で定義された保護資産情報の値を表示し、この表示した保護資産情報の値の選択を受け付けると、この選択を受け付けた保護資産情報の値で当該対策操作可変要素を置換する機能。   (f33-6) Similar to (f33-4) and (f33-5), when the countermeasure operation selection in the countermeasure content information is accepted while the countermeasure content information is displayed, the countermeasure operation variable element in this countermeasure operation is displayed. When the value of the protected asset information defined in the protected asset definition table 102 is displayed and the selection of the value of the displayed protected asset information is received, the countermeasure operation variable element is determined by the value of the protected asset information that has received the selection. The ability to replace

(f33-7) 指定を受け付けた対策種別情報と、この対策種別情報に関連付けられた対策内容情報であって、置換された名称の値又は保護資産情報の値を示す対策主体、置換された関与者の値又は保護資産情報の値を示す対策対象、及び対策操作可変要素から置換された保護資産情報の値を含む操作又は対策操作可変要素を含まない操作を示す、対策操作を含む当該対策内容情報とを関連付けて示す対策情報定義表１０４をシステム情報記憶部３２に書き込む機能。   (f33-7) Countermeasure type information that has received a specification, and countermeasure content information associated with this countermeasure type information, including the name of the replaced name or the value of protected asset information, the replaced involvement Measures including countermeasure operations, including countermeasure targets that indicate the value of the operator or protected asset information, and operations that include the protected asset information value replaced from the countermeasure operation variable element or operations that do not include the countermeasure operation variable element A function of writing a countermeasure information definition table 104 indicating information in association with the system information storage unit 32.

脅威抽出部３４は、入力部３３より入力されシステム情報記録部３２に記録された情報と、分析前にあらかじめ脅威分析情報記憶部３１に記録された情報とから、分析対象の情報処理システムに存在する脅威の抽出を行うものである。具体的には、脅威抽出部３４は、以下の各機能(f34-1)〜(f34-3)をもっている。   The threat extraction unit 34 is present in the information processing system to be analyzed from the information input from the input unit 33 and recorded in the system information recording unit 32 and the information previously recorded in the threat analysis information storage unit 31 before analysis. To extract threats. Specifically, the threat extraction unit 34 has the following functions (f34-1) to (f34-3).

(f34-1) 対策情報定義表１０４内の対策情報毎に、対策−脅威対応表１００内でこの対策情報の対策種別情報に関連付けられた脅威内容情報の脅威主体が可変要素を含むとき、この脅威主体可変要素を当該対策情報定義表１０４内で当該対策情報に関連付けられた対策対象が示す関与者の値で置換する機能。   (f34-1) For each countermeasure information in the countermeasure information definition table 104, when the threat subject of the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure-threat correspondence table 100 includes a variable element, A function of replacing the threat subject variable element with the value of the participant indicated by the countermeasure target associated with the countermeasure information in the countermeasure information definition table 104.

(f34-2) 対策情報定義表１０４内の対策情報毎に、対策−脅威対応表１００内でこの対策情報の対策種別情報に関連付けられた脅威内容情報の脅威対象が可変要素を含むとき、この脅威対象可変要素を当該対策情報定義表１０４内で当該対策種別情報に関連付けられた対策主体、対策対象又は対策操作のうちのいずれかで定義された属性が一致する可変要素の値で置換する機能。   (f34-2) For each countermeasure information in the countermeasure information definition table 104, when the threat target of the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure-threat correspondence table 100 includes a variable element, A function that replaces the threat target variable element with the value of the variable element that matches the attribute defined in one of the countermeasure subject, countermeasure target, or countermeasure operation associated with the countermeasure type information in the countermeasure information definition table 104 .

(f34-3) 対策情報定義表１０４内の対策情報に、対策−脅威対応表１００内でこの対策情報の対策種別情報に関連付けられた脅威内容情報であって、(f34-1)(f34-2)により可変要素が置換された脅威主体、脅威対象、脅威操作を含む当該脅威内容情報を第１の脅威表１０５としてシステム情報記憶部３２に書き込む機能。    (f34-3) The countermeasure information in the countermeasure information definition table 104 is threat content information associated with the countermeasure type information of this countermeasure information in the countermeasure-threat correspondence table 100, and (f34-1) (f34- A function of writing the threat content information including the threat subject, the threat target, and the threat operation in which the variable elements are replaced in 2) into the system information storage unit 32 as the first threat table 105.

上述した入力部３３の各機能(f33-1)〜(f33-7)および脅威抽出部３４の各機能(f34-1)〜(f34-3)に加えて、脅威分析の途中経過及び分析結果を出力する出力インターフェースである出力部３５は、次の機能をもつ。具体的には、出力部３５は、入力部３３から送出された入力画面データに基づいて入力画面Ｇ４０，Ｇ５０〜Ｇ５２を表示する機能と、入力部３３又は脅威抽出部３４から受けた脅威分析の途中経過及び分析結果を表示する機能をもっている。   In addition to the functions (f33-1) to (f33-7) of the input unit 33 and the functions (f34-1) to (f34-3) of the threat extraction unit 34, the progress of the threat analysis and the analysis results The output unit 35, which is an output interface for outputting, has the following functions. Specifically, the output unit 35 displays the input screens G40 and G50 to G52 based on the input screen data sent from the input unit 33 and the threat analysis received from the input unit 33 or the threat extraction unit 34. It has a function to display the progress and analysis results.

制御部３６は、図１３のフローチャートに示す動作を実行するように、各部３３〜３５の動作を制御する機能をもっている。   The control unit 36 has a function of controlling the operations of the units 33 to 35 so as to execute the operations shown in the flowchart of FIG.

次に、以上のように構成された脅威分析支援装置の動作について図１３のフローチャートと図１４及び図１５の模式図を参照しながら説明する。但し、脅威分析情報記憶部３１には、図３に示した対策−脅威対応表１００が予め記憶されているものとする。   Next, the operation of the threat analysis support apparatus configured as described above will be described with reference to the flowchart of FIG. 13 and the schematic diagrams of FIGS. However, it is assumed that the countermeasure-threat correspondence table 100 shown in FIG. 3 is stored in the threat analysis information storage unit 31 in advance.

始めに、脅威分析支援装置３０においては、分析者の操作に応じて、入力部３３が、図９に示したシステム個別情報入力画面Ｇ４０の表示中に、関与者と、保護資産と、システムを構成する要素の要素名及び種別とを示す情報をそれぞれ表示領域ｇ４１〜ｇ４３に入力する（ステップＳ１）。   First, in the threat analysis support apparatus 30, the input unit 33 displays the participant, the protected asset, and the system while the system individual information input screen G40 shown in FIG. Information indicating element names and types of constituent elements is input to the display areas g41 to g43, respectively (step S1).

続いて、入力部３３は、システム個別情報入力画面Ｇ４０に表示された対策入力遷移ボタンｇ４４が分析者によって押下されたか否かを判定する（ステップＳ２）。   Subsequently, the input unit 33 determines whether or not the countermeasure input transition button g44 displayed on the system individual information input screen G40 has been pressed by the analyst (step S2).

ステップＳ２の判定の結果、対策入力遷移ボタンｇ４４が押下された場合（ステップＳ２：「Ｙｅｓ」）には、入力部３３は、ステップＳ１において入力された関与者と、保護資産と、要素名及び種別とを示す情報を、図４乃至図６に示したような、関与者定義表１０１、保護資産定義表１０２及びシステム要素定義表１０３に追加（記憶）する（ステップＳ３）。その後、出力部３５の表示画面を図１０に示すような対策要件入力画面Ｇ５０へ遷移させる（ステップＳ４）。一方、ステップＳ２の判定の結果、対策入力遷移ボタンｇ４４が押下されない場合（ステップＳ２：「Ｎｏ」）には、ステップＳ１へと戻る。   When the countermeasure input transition button g44 is pressed as a result of the determination in step S2 (step S2: “Yes”), the input unit 33 displays the participant, the protected asset, the element name, and the element name input in step S1. Information indicating the type is added (stored) to the participant definition table 101, the protected asset definition table 102, and the system element definition table 103 as shown in FIGS. 4 to 6 (step S3). Thereafter, the display screen of the output unit 35 is changed to a countermeasure requirement input screen G50 as shown in FIG. 10 (step S4). On the other hand, if the result of determination in step S2 is that the countermeasure input transition button g44 is not pressed (step S2: “No”), the process returns to step S1.

続いて、入力部３３は、対策要件入力画面Ｇ５０に表示された終了ボタンｇ５９が分析者によって押下されたか否かを判定する（ステップＳ５）。   Subsequently, the input unit 33 determines whether or not the end button g59 displayed on the countermeasure requirement input screen G50 has been pressed by the analyst (step S5).

ステップＳ５の判定の結果、終了ボタンｇ５９が押下されない場合（ステップＳ５：「Ｎｏ」）には、入力部３３は、分析者の操作に応じて、対策種別選択領域ｇ５２から対策種別情報の指定を受け付ける（ステップＳ６）。一方、ステップＳ５の判定の結果、終了ボタンｇ５９が押下された場合（ステップＳ５：「Ｙｅｓ」）には、分析対象の情報処理システムの脅威分析を終了する。   If the end button g59 is not pressed as a result of the determination in step S5 (step S5: “No”), the input unit 33 designates the countermeasure type information from the countermeasure type selection area g52 according to the operation of the analyst. Accept (step S6). On the other hand, if the end button g59 is pressed as a result of the determination in step S5 (step S5: “Yes”), the threat analysis of the information processing system to be analyzed is ended.

ステップＳ６において対策種別情報の指定を受け付けた場合、入力部３３は、図１１に示すように、ステップＳ６において指定を受け付けた対策種別情報に関連付けて記憶された対策内容情報を対策−脅威対応表１００から読み出し、この対策内容を各領域ｇ５４，ｇ５６，ｇ５７に挿入して出力部３４に表示させる（ステップＳ７）。例えば、対策種別情報として「認証」を選択した場合には、対策内容の各領域ｇ５４，ｇ５６，ｇ５７には、対策種別情報「認証」に関連付けて記憶された対策内容として、対策主体「［システム］は」、対策対象「［関与者］を」及び対策操作「認証する」が対策−脅威対応表１００から読み出され、表示される。   When the designation of countermeasure type information is received in step S6, the input unit 33 displays the countermeasure content information stored in association with the countermeasure type information received in step S6 as shown in FIG. 11, in the countermeasure-threat correspondence table. The content of the countermeasure is read from 100, inserted into the areas g54, g56, and g57 and displayed on the output unit 34 (step S7). For example, when “authentication” is selected as the countermeasure type information, the countermeasure entity “[System” is stored as the countermeasure contents stored in association with the countermeasure type information “authentication” in the areas g54, g56, and g57 of the countermeasure contents. ], The countermeasure object “[participant]” and the countermeasure operation “authenticate” are read from the countermeasure-threat correspondence table 100 and displayed.

更に、入力部３３は、分析者の操作により、図１２に示すように、ステップＳ３においてシステム情報記憶部３２に記憶された関与者定義表１０１、保護資産定義表１０２及びシステム要素定義表１０３に基づいて、対策主体、対策対象、対策操作の可変要素を指定（置換）する（ステップＳ８）。ここで、対策種別情報として「認証」を選択した場合には、対策主体「［システム］は」及び対策対象「［関与者］を」の大括弧内（可変要素）を指定（置換）する。ここでは、対策主体「［システム］は」の大括弧内をシステム定義表１０３内で種別の値「システム」に関連付けられた名称の値「営業支援システム」に置換し、対策対象「［関与者］を」の大括弧内を関与者定義表１０１内の関与者の値のうち、選択された関与者の値「一般利用者」に置換しているが、これに限定されない。例えば、大括弧内の置換内容としては、主体「営業支援システム」及び対象「管理者」のような置換内容が適用可能である。   Furthermore, as shown in FIG. 12, the input unit 33 operates in the participant definition table 101, the protected asset definition table 102, and the system element definition table 103 stored in the system information storage unit 32 in step S <b> 3 by the operation of the analyst. Based on this, the variable elements of the countermeasure subject, the countermeasure target, and the countermeasure operation are designated (replaced) (step S8). Here, when “authentication” is selected as the countermeasure type information, the brackets (variable elements) of the countermeasure entity “[system]” and the countermeasure object “[participant]” are designated (replaced). Here, the square bracket of the countermeasure entity “[system] is” is replaced with the name value “sales support system” associated with the type value “system” in the system definition table 103, and the countermeasure target “[participant” ] Is replaced with the value “general user” of the selected participant among the values of the participant in the participant definition table 101, but is not limited thereto. For example, as the replacement content in square brackets, replacement content such as the main “sales support system” and the target “administrator” is applicable.

しかる後に、入力部３３は、対策要件入力画面Ｇ５２に表示された対策追加ボタンｇ５８が分析者によって押下されたか否かを判定する（ステップＳ９）。   Thereafter, the input unit 33 determines whether or not the measure addition button g58 displayed on the measure requirement input screen G52 has been pressed by the analyst (step S9).

ステップＳ９の判定の結果、対策追加ボタンｇ５８が押下される場合（ステップＳ９：「Ｙｅｓ」）には、入力部３３は、図１４及び図１５に示すように、ステップＳ８において対策要件入力画面Ｇ５２に表示された対策を対策情報定義表１０４に追加（記憶）する（ステップＳ１０）。ここでは、分析対象の情報処理システムに既に存在する対策として、対策種別情報「認証」、対策内容「（主体）営業支援システムは（対象）一般利用者を（操作）認証する」が対策情報定義表１０４に追加される。一方、ステップＳ９の判定の結果、対策追加ボタンｇ５８が分析者によって押下されない場合（ステップＳ９：「Ｎｏ」）には、ステップＳ５へと戻る。   As a result of the determination in step S9, when the countermeasure addition button g58 is pressed (step S9: “Yes”), the input unit 33 displays the countermeasure requirement input screen G52 in step S8 as shown in FIGS. Is added (stored) to the countermeasure information definition table 104 (step S10). Here, countermeasure type information “authentication” and countermeasure content “(subject) sales support system (subject) authenticates (operates) general users” are countermeasure information definitions that already exist in the information processing system to be analyzed. Added to Table 104. On the other hand, as a result of the determination in step S9, when the analyst does not press the countermeasure addition button g58 (step S9: “No”), the process returns to step S5.

また、脅威抽出部３４は、脅威分析情報記憶部３１内の対策−脅威対応表１００に基づいて、ステップＳ１０において対策情報定義表１０４に追加された対策によって対抗できる脅威を抽出する（ステップＳ１１）。先の例では、主体「一般利用者以外が一般利用者に」、対象「営業支援システムに対して」及び操作「なりすます」が抽出される。ここでは、先ず、脅威抽出部３４は、ステップＳ１０において対策情報定義表１０４に追加された対策情報の対策種別情報に一致する対策種別情報に対策−脅威対応表１００内で関連付けられた脅威内容情報を当該対策−脅威対応表１００から読み出す。続いて、脅威抽出部３４は、ステップＳ１０において追加された対策種別情報に基づいて、読み出された脅威内容情報に含まれる可変要素を当該対策情報定義表１０４内で選択された値に置換する。先の例では、脅威主体「［関与者］以外が［関与者］に」の大括弧内を、当該対策情報定義表１０４内で当該対策種別情報に関連付けられた対策対象が示す関与者の値「一般利用者」に置換し、読み出された脅威内容情報の脅威対象「［システム］に対して」の大括弧内を、当該対策情報定義表１０４内で当該対策種別情報に関連付けられた対策主体が示す名称の値「営業支援システム」に置換する。   Further, the threat extraction unit 34 extracts threats that can be countered by the countermeasure added to the countermeasure information definition table 104 in step S10 based on the countermeasure-threat correspondence table 100 in the threat analysis information storage unit 31 (step S11). . In the previous example, the subject “non-general user is a general user”, the target “to sales support system” and the operation “spoof” are extracted. Here, first, the threat extraction unit 34 refers to the threat content information associated in the countermeasure-threat correspondence table 100 with the countermeasure type information that matches the countermeasure type information of the countermeasure information added to the countermeasure information definition table 104 in step S10. Are read from the countermeasure-threat correspondence table 100. Subsequently, the threat extraction unit 34 replaces the variable element included in the read threat content information with the value selected in the countermeasure information definition table 104 based on the countermeasure type information added in step S10. . In the previous example, the value of the participant indicated by the countermeasure target associated with the countermeasure type information in the countermeasure information definition table 104 in the brackets of the threat actor “other than [participant] is [participant]”. The countermeasures associated with the countermeasure type information in the countermeasure information definition table 104 are replaced with “general user” and the brackets of the threat target “for [System]” in the read threat content information are within the brackets. Replace with the value “sales support system” of the name indicated by the subject.

これにより、脅威抽出部３４は、置換後の脅威主体「一般利用者以外が一般利用者に」、置換後の脅威対象「営業支援システムに対して」及び操作「なりすます」を抽出する。   As a result, the threat extraction unit 34 extracts the threat subject after replacement “other than general users to general users”, the threat target “for sales support system” and the operation “spoof” after replacement.

しかる後、脅威抽出部３４は、図１４及び図１５に示すように、ステップＳ１１において抽出された脅威内容情報を第１の脅威表１０５に追加（記憶）する（ステップＳ１２）。この例では、脅威内容「（主体）一般利用者以外が一般利用者に（対象）営業支援システムに対して（操作）なりすます」が第１の脅威表１０５に追加される。   Thereafter, as shown in FIGS. 14 and 15, the threat extraction unit 34 adds (stores) the threat content information extracted in step S11 to the first threat table 105 (step S12). In this example, the threat content “(subject) other than general user impersonates general user (target) (operation) for sales support system” is added to first threat table 105.

なお、上述したステップＳ５〜Ｓ１２の処理は、対策要件入力画面Ｇ５０〜Ｇ５２に表示された終了ボタンｇ５９が分析者によって押下されるまで繰り返される。   Note that the processing in steps S5 to S12 described above is repeated until the end button g59 displayed on the countermeasure requirement input screens G50 to G52 is pressed by the analyst.

上述したように第１の実施形態によれば、予め対策−脅威対応表１００を記憶する脅威情報記憶部３１と、この対策−脅威対応表１００に対策内容の情報を入力する入力部３３と、この入力により得られた対策情報定義表１０４及び当該対策−脅威対応表１００から第１の脅威表１０５を得る脅威抽出部３４とを備えた構成により、脅威から対策を得るという通常の順方向の脅威分析とは異なり、分析対象の情報処理システムに既に存在する対策からこの対策によってカバーできる脅威を導くといった逆方向の脅威分析を実行することができる。   As described above, according to the first embodiment, the threat information storage unit 31 that stores the countermeasure-threat correspondence table 100 in advance, the input unit 33 that inputs information on the countermeasure contents in the countermeasure-threat correspondence table 100, With the configuration including the countermeasure information definition table 104 obtained by this input and the threat extraction unit 34 that obtains the first threat table 105 from the countermeasure-threat correspondence table 100, a normal forward direction of obtaining countermeasures from threats is obtained. Unlike threat analysis, it is possible to perform reverse threat analysis in which a threat that can be covered by this countermeasure is derived from a countermeasure that already exists in the information processing system to be analyzed.

（第２の実施形態）
図１６は第２の実施形態に係る脅威分析支援装置の構成の一例を示す機能ブロック図であり、図２とほぼ同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。 (Second Embodiment)
FIG. 16 is a functional block diagram showing an example of the configuration of the threat analysis support apparatus according to the second embodiment. The same reference numerals are given to substantially the same parts as those in FIG. The part is mainly described.

すなわち、第２の実施形態は、第１の実施形態で述べた如き、対策から脅威を得る方向という通常とは逆方向の脅威分析の後に、脅威から対策を得る通常の順方向の脅威分析を実行する形態となっている。   That is, in the second embodiment, as described in the first embodiment, the normal forward threat analysis in which the countermeasure is obtained from the threat is performed after the threat analysis in the opposite direction to the normal direction in which the threat is obtained from the countermeasure. It is a form to execute.

具体的には、脅威分析支援装置３０は、図１６に破線で囲んで示すように、図２に示した各部３１〜３６に加え、順方向脅威分析部３７及び脅威分析差分検出部３８を更に備えている。これに伴い、システム情報記憶部３２は、図２に示した情報１０１〜１０５に加え、第２の脅威表１０６及び差分脅威表１０７を記憶する。   Specifically, the threat analysis support apparatus 30 further includes a forward threat analysis unit 37 and a threat analysis difference detection unit 38 in addition to the units 31 to 36 shown in FIG. I have. Accordingly, the system information storage unit 32 stores the second threat table 106 and the differential threat table 107 in addition to the information 101 to 105 shown in FIG.

ここで、順方向脅威分析部３７は、要素又は保護資産情報に対する脅威に関し、関与者又は第三者を示す脅威主体、要素の名称又は保護資産情報を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報の入力を受け付けると、この脅威内容情報を第２の脅威定義表１０６としてシステム情報記憶部３２に書き込む機能をもっている。なお、この脅威内容情報の抽出方法については、分析者が自身で考えて抽出しても良いし、特許文献２のような方法により自動で脅威を抽出する技術を用いて抽出しても良いため、ここでは限定しない。また、説明の便宜上、この機能を順方向脅威分析部３７として表したが、これに限らず、この機能を入力部３３に追加して順方向脅威分析部３７を省略した構成としてもよい。   Here, the forward threat analysis unit 37 relates to a threat to the element or the protected asset information, and performs a threat actor indicating the participant or a third party, a threat target indicating the element name or the protected asset information, and a threat operation indicating the operation. When the input of the threat content information including the threat content information is received, the threat content information is written in the system information storage unit 32 as the second threat definition table 106. Note that this threat content information extraction method may be extracted by an analyst by himself / herself, or may be extracted using a technique for automatically extracting threats by a method such as that disclosed in Patent Document 2. No limitation here. For convenience of explanation, this function is represented as the forward threat analysis unit 37. However, the present invention is not limited thereto, and the forward threat analysis unit 37 may be omitted by adding this function to the input unit 33.

第２の脅威表１０６は、順方向の脅威分析によって書き込まれた脅威内容情報であり、関与者の値を示す脅威主体、システムを構成する要素の名称の値又は保護資産情報の値を示す脅威対象、及び脅威操作を含む当該脅威内容情報からなる。すなわち、第２の脅威表１０６は、第１の脅威表１０５の形式と共通した形式をもっている。   The second threat table 106 is threat content information written by forward threat analysis, and is a threat subject indicating the value of a participant, a name of an element constituting the system, or a value of protected asset information. It consists of threat content information including target and threat operations. That is, the second threat table 106 has a format common to the format of the first threat table 105.

脅威差分検出部３８は、第１及び第２の脅威表１０５，１０６を比較することによって、第２の脅威表１０６には含まれているが第１の脅威表１０５には含まれていない脅威内容情報を検出し、この脅威内容情報を差分情報（差分脅威情報）として差分脅威表１０７に書き込む機能をもっている。   The threat difference detection unit 38 compares the first and second threat tables 105 and 106 to compare threats that are included in the second threat table 106 but not included in the first threat table 105. It has a function of detecting content information and writing this threat content information as differential information (differential threat information) in the differential threat table 107.

差分脅威表１０７は、第２の脅威表１０６には含まれているが第１の脅威表１０５には含まれていない脅威内容情報であり、関与者の値を示す脅威主体、システムを構成する要素の名称の値又は保護資産情報の値を示す脅威対象、及び脅威操作を含む当該脅威内容情報からなる。すなわち、差分脅威表１０７は、第１及び第２の脅威表１０５，１０６の形式と共通した形式をもっている。また、差分脅威表１０７は、順方向の脅威分析では抽出されるが、逆方向の脅威分析では抽出されないことから、分析対象の情報処理システムに脅威として存在するにも関わらず、未だ対策がなされていない脅威を表している。   The differential threat table 107 is threat content information that is included in the second threat table 106 but not included in the first threat table 105, and constitutes a threat subject and a system that indicate the values of participants. It consists of the threat target indicating the value of the element name or the value of the protected asset information, and the threat content information including the threat operation. That is, the differential threat table 107 has a format common to the formats of the first and second threat tables 105 and 106. The differential threat table 107 is extracted in the forward threat analysis, but not extracted in the reverse threat analysis. Therefore, even though it exists as a threat in the information processing system to be analyzed, countermeasures are still being taken. Represents a threat that is not.

次に、以上のように構成された脅威分析支援装置の動作について図１７のフローチャートを参照しながら説明する。但し、第１の実施形態に示した逆方向の脅威分析が既に実行され、システム情報記憶部３２には、逆方向の脅威分析の結果が記憶されているものとする。   Next, the operation of the threat analysis support apparatus configured as described above will be described with reference to the flowchart of FIG. However, it is assumed that the reverse threat analysis shown in the first embodiment has already been executed, and the system information storage unit 32 stores the result of the reverse threat analysis.

順方向の脅威分析において、順方向脅威分析部３７は、システム情報記憶部３２内のシステム個別情報の表示中に、分析者の操作により、分析対象システムに対して存在する脅威の内容を示す脅威内容情報の入力を受け付ける（ステップＳ２１）。   In the forward threat analysis, the forward threat analysis unit 37 is a threat that indicates the content of a threat that exists on the analysis target system by the operation of the analyst while displaying the system individual information in the system information storage unit 32. The input of content information is accepted (step S21).

続いて、順方向脅威分析部３７は、ステップＳ２１において入力を受け付けた脅威内容情報をシステム情報記憶部内の第２の脅威表１０６に追加（記憶）する（ステップＳ２２）。   Subsequently, the forward threat analysis unit 37 adds (stores) the threat content information received in step S21 to the second threat table 106 in the system information storage unit (step S22).

次に、脅威差分検出部３８は、システム情報記憶部３２に記憶された第１の脅威表１０５及び第２の脅威表１０６を比較することによって、第２の脅威表１０６には含まれているが第１の脅威表１０５には含まれていない差分情報を検出する（ステップＳ２３）。   Next, the threat difference detection unit 38 is included in the second threat table 106 by comparing the first threat table 105 and the second threat table 106 stored in the system information storage unit 32. However, the difference information that is not included in the first threat table 105 is detected (step S23).

しかる後、差分脅威検出部３８は、検出した差分情報をシステム情報記憶部３２内の差分脅威表１０７に追加（記憶）する（ステップＳ２４）。   Thereafter, the differential threat detection unit 38 adds (stores) the detected differential information to the differential threat table 107 in the system information storage unit 32 (step S24).

上述したように第２の実施形態によれば、順方向の脅威分析における脅威内容情報を入力する順方向分析部３７と、第１及び第２の脅威表１０５，１０６の差分情報を検出する脅威差分検出部３８とを備えた構成により、脅威分析を実行する際に、順方向の脅威分析により得られた脅威から、逆方向で分析済みの脅威を除いて未対策の差分脅威を検出できる。よって、この未対策の差分脅威に対するセキュリティ対策を検討することで、分析対象の情報処理システムに不足しているセキュリティ対策を効率よく加えることができる。   As described above, according to the second embodiment, a forward analysis unit 37 that inputs threat content information in forward threat analysis, and a threat that detects difference information between the first and second threat tables 105 and 106. With the configuration including the difference detection unit 38, when performing threat analysis, it is possible to detect an unmeasured differential threat by excluding threats analyzed in the reverse direction from threats obtained by forward threat analysis. Therefore, by examining the security measures against this unmeasured differential threat, it is possible to efficiently add the security measures that are lacking in the information processing system to be analyzed.

また、以上説明した少なくとも一つの実施形態によれば、分析対象のシステムに既に存在する対策からこの対策によってカバーできる脅威を導くといった逆方向の脅威分析を実行することで、既に実施が決定している対策について策定する必要を無くしたため、脅威分析の労力や分析コストを削減することができる。   In addition, according to at least one embodiment described above, the implementation has already been determined by performing a reverse threat analysis such as deriving a threat that can be covered by this countermeasure from a countermeasure that already exists in the analysis target system. Since it is no longer necessary to formulate countermeasures, the labor and cost of threat analysis can be reduced.

上述した各実施形態で述べた各種の機能や処理手順は、コンピュータプログラムとして、コンピュータにより読み取り可能な記憶媒体（例えば磁気ディスク，光ディスク，半導体メモリ）に記憶させておき、必要に応じてそれをプロセッサにより読み出して実行するようにしてもよい。また、このようなコンピュータプログラムは、通信媒体を介してあるコンピュータから他のコンピュータに伝送することにより配布することも可能である。   The various functions and processing procedures described in each embodiment described above are stored as a computer program in a computer-readable storage medium (for example, a magnetic disk, an optical disk, and a semiconductor memory), and the processor and processor are used as necessary. May be read out and executed. Such a computer program can also be distributed by transmitting from one computer to another computer via a communication medium.

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。   Although several embodiments of the present invention have been described, these embodiments are presented by way of example and are not intended to limit the scope of the invention. These novel embodiments can be implemented in various other forms, and various omissions, replacements, and changes can be made without departing from the scope of the invention. These embodiments and modifications thereof are included in the scope and gist of the invention, and are included in the invention described in the claims and the equivalents thereof.

１０…コンピュータ、２０…外部記憶装置、２１…プログラム、３０…脅威分析支援装置、３１…脅威分析情報記憶部、３２…システム情報記憶部、３３…入力部、３４…脅威抽出部、３５…出力部、３６…制御部、３７…順方向脅威分析部、３８…脅威差分検出部、１００…対策−脅威対応表、１０１…関与者定義表、１０２…保護資産定義表、１０３…システム要素定義表、１０４…対策情報定義表、１０５…第１の脅威表、１０６…第２の脅威表、１０７…差分脅威表。   DESCRIPTION OF SYMBOLS 10 ... Computer, 20 ... External storage device, 21 ... Program, 30 ... Threat analysis support device, 31 ... Threat analysis information storage part, 32 ... System information storage part, 33 ... Input part, 34 ... Threat extraction part, 35 ... Output , 36 ... control unit, 37 ... forward threat analysis unit, 38 ... threat difference detection unit, 100 ... countermeasure-threat correspondence table, 101 ... participant definition table, 102 ... protected asset definition table, 103 ... system element definition table 104 ... Countermeasure information definition table, 105 ... First threat table, 106 ... Second threat table, 107 ... Differential threat table.

Claims (4)

分析対象の情報処理システムに対する脅威分析を支援する脅威分析支援装置であって、
前記情報処理システムにアクセス可能な関与者を定義する関与者定義情報を記憶する関与者定義情報記憶手段と、
前記情報処理システムに保存された情報のうち、保護対象である保護資産情報を定義する保護資産定義情報を記憶する保護資産定義情報記憶手段と、
前記情報処理システムを構成する要素に関し、名称及び種別を関連付けて定義するシステム要素定義情報を記憶するシステム要素定義情報記憶手段と、
前記情報処理システムに実装されるセキュリティ対策機能に関し、種別を示す対策種別情報毎に、前記システム要素定義情報で定義された種別又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策主体可変要素を示す対策主体、前記関与者定義情報で定義された関与者又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策対象可変要素を示す対策対象、及び前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策操作可変要素を含む操作又は対策操作可変要素を含まない操作を示す対策操作を含む対策内容情報と、前記セキュリティ対策機能により対抗可能な脅威に関し、前記関与者定義情報で定義された関与者の範囲内で置換される脅威主体可変要素を示すか又は第三者を示す脅威主体、前記システム要素定義情報で定義された種別又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される脅威対象可変要素を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報とを関連付けて示す対策脅威対応表を記憶する対応表記憶手段と、
前記対策種別情報の指定を受け付けると、この対策種別情報に関連付けられた前記対策内容情報を表示する手段と、
前記対策内容情報の表示中、当該対策内容情報内の対策主体の選択を受け付けると、この対策主体における対策主体可変要素に関連付けて前記システム要素定義情報で定義された種別の値又は前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した種別の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた種別の値に関連付けられた名称の値又は当該選択を受け付けた保護資産情報の値で当該対策主体可変要素を置換する手段と、
前記対策内容情報の表示中、当該対策内容情報内の対策対象の選択を受け付けると、この対策対象における対策対象可変要素に関連付けて前記関与者定義情報で定義された関与者の値又は前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した関与者の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた関与者の値又は保護資産情報の値で当該対策対象可変要素を置換する手段と、
前記対策内容情報の表示中、当該対策内容情報内の対策操作に対策操作可変要素を含む場合に対策操作の選択を受け付けると、この対策操作における対策操作可変要素に関連付けて前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した保護資産情報の値の選択を受け付けると、この選択を受け付けた保護資産情報の値で当該対策操作可変要素を置換する手段と、
前記指定を受け付けた対策種別情報と、この対策種別情報に関連付けられた対策内容情報であって、前記置換された名称の値又は保護資産情報の値を示す対策主体、前記置換された関与者の値又は保護資産情報の値を示す対策対象、及び前記置換された保護資産情報の値を示すか又は前記操作を示す対策操作を含む当該対策内容情報とを関連付けて示す対策情報定義情報を対策情報定義記憶手段に書き込む手段と、
前記書き込まれた対策情報定義情報を記憶する前記対策情報定義記憶手段と、
前記対策情報定義情報内の対策情報毎に、前記対策脅威対応表内で前記対策情報の対策種別情報に関連付けられた脅威内容情報の脅威主体に脅威主体可変要素を含むとき、この脅威主体可変要素を、当該対策情報定義情報内で当該対策種別情報に関連付けられた対策対象が示す関与者の値で置換する手段と、
前記対策情報定義情報内の対策情報毎に、前記対策脅威対応表内で前記対策情報の対策種別情報に関連付けられた脅威内容情報内の脅威対象に含まれる脅威対象可変要素を、当該対策情報定義情報内で当該対策種別情報に関連付けられた対策主体、対策対象又は対策操作のうちのいずれかが示す名称の値又は保護資産情報の値で置換する手段と、
前記対策情報定義情報内の対策種別情報に一致する対策種別情報に関連付けられた脅威内容情報であって、前記置換された関与者の値を示す脅威主体、前記置換された名称の値又は保護資産情報の値を示す脅威対象、及び前記脅威操作を含む当該脅威内容情報を第１の脅威定義情報として脅威定義記憶手段に書き込む手段と、
前記書き込まれた第１の脅威定義情報を記憶する前記脅威定義記憶手段と、
を備えたことを特徴とする脅威分析支援装置。 A threat analysis support device that supports threat analysis for an information processing system to be analyzed,
Participant definition information storage means for storing participant definition information that defines a participant who can access the information processing system;
Of the information stored in the information processing system, protected asset definition information storage means for storing protected asset definition information that defines protected asset information that is a protection target;
System element definition information storage means for storing system element definition information that defines a name and a type in association with elements constituting the information processing system;
Regarding the security measure function implemented in the information processing system, each measure type information indicating the type is replaced within the type defined in the system element definition information or the protected asset information defined in the protected asset definition information Countermeasure entity indicating the countermeasure entity variable element to be replaced within the scope of the countermeasure entity indicating the countermeasure entity variable element, the participant defined in the participant definition information or the protected asset information defined in the protected asset definition information And countermeasure content information including a countermeasure operation indicating an operation including a countermeasure operation variable element to be replaced within the scope of the protected asset information defined in the protected asset definition information or an operation not including the countermeasure operation variable element, and the security For threats that can be countered by the countermeasure function, it indicates a threat actor variable element that is replaced within the scope of the participant defined in the participant definition information or A threat subject indicating an attacker, a threat target indicating a threat target variable element to be replaced within the type defined in the system element definition information or the protected asset information defined in the protected asset definition information, and a threat indicating an operation Correspondence table storage means for storing a countermeasure threat correspondence table indicating the threat content information including the operation in association with each other
Upon receiving designation of the countermeasure type information, means for displaying the countermeasure content information associated with the countermeasure type information;
While the countermeasure content information is being displayed, if the selection of the countermeasure entity in the countermeasure content information is accepted, the type value defined in the system element definition information associated with the countermeasure entity variable element in the countermeasure entity or the protected asset definition When the value of the protected asset information defined in the information is displayed and the selection of the value of the displayed type or the value of the protected asset information is accepted, the value of the name associated with the value of the type that accepted the selection or the selection Means for replacing the countermeasure entity variable element with the value of the protected asset information received
When the countermeasure content information is displayed, when the selection of the countermeasure target in the countermeasure content information is accepted, the value of the participant defined in the participant definition information in association with the countermeasure target variable element in the countermeasure target or the protected asset When the value of the protected asset information defined in the definition information is displayed and the selection of the displayed participant's value or the value of the protected asset information is accepted, the value of the participant who received this selection or the value of the protected asset information is displayed. Means for replacing the countermeasure target variable element;
While the countermeasure content information is being displayed, if the countermeasure operation in the countermeasure content information includes a countermeasure operation variable element and accepts the selection of the countermeasure operation, the protected asset definition information is associated with the countermeasure operation variable element in the countermeasure operation. Means for displaying the value of the defined protected asset information and accepting a selection of the value of the displayed protected asset information, replacing the countermeasure operation variable element with the value of the protected asset information that has accepted this selection;
The countermeasure type information that has received the designation, and the countermeasure content information associated with the countermeasure type information, the countermeasure entity indicating the value of the replaced name or the value of protected asset information, and the replaced participant Countermeasure information defining countermeasure information indicating a value or value of protected asset information and countermeasure information definition information indicating the value of the replaced protected asset information or the countermeasure content information including the countermeasure operation indicating the operation Means for writing to the definition storage means;
The countermeasure information definition storage means for storing the written countermeasure information definition information;
When each countermeasure information in the countermeasure information definition information includes a threat subject variable element in the threat subject of the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure threat correspondence table, the threat subject variable element Means for replacing the value of the participant indicated by the countermeasure target associated with the countermeasure type information in the countermeasure information definition information,
For each countermeasure information in the countermeasure information definition information, a threat target variable element included in the threat target in the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure threat correspondence table is defined as the countermeasure information definition. Means for replacing with a name value or a value of protected asset information indicated by any of the countermeasure entity, countermeasure target or countermeasure operation associated with the countermeasure type information in the information;
Threat content information associated with the countermeasure type information matching the countermeasure type information in the countermeasure information definition information, the threat subject indicating the value of the replaced participant, the value of the replaced name, or the protected asset Means for writing the threat target indicating the value of the information and the threat content information including the threat operation into the threat definition storage means as first threat definition information;
The threat definition storage means for storing the written first threat definition information;
A threat analysis support apparatus comprising: 請求項１に記載の脅威分析支援装置において、
前記要素又は前記保護資産情報に対する脅威に関し、関与者又は第三者を示す脅威主体、前記要素の名称又は前記保護資産情報を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報の入力を受け付けると、この脅威内容情報を第２の脅威定義情報として前記脅威定義記憶手段に書き込む手段と、
前記第１及び第２の脅威定義情報を比較することによって、前記第２の脅威定義情報には含まれているが前記第１の脅威定義情報には含まれていない脅威内容情報を検出し、この脅威内容情報を差分脅威情報として差分脅威記憶手段に書き込む手段と、
前記書き込まれた差分脅威情報を記憶する前記差分脅威記憶手段と、
を更に備えたことを特徴とする脅威分析支援装置。 The threat analysis support device according to claim 1,
Regarding threats to the element or the protected asset information, input threat content information including a threat subject indicating a participant or a third party, a threat target indicating the name of the element or the protected asset information, and a threat operation indicating an operation. If accepted, means for writing this threat content information as second threat definition information in the threat definition storage means;
Comparing the first and second threat definition information to detect threat content information that is included in the second threat definition information but not included in the first threat definition information; Means for writing this threat content information as differential threat information in the differential threat storage means;
The differential threat storage means for storing the written differential threat information;
A threat analysis support apparatus characterized by further comprising: 分析対象の情報処理システムにアクセス可能な関与者を定義する関与者定義情報を記憶する関与者定義情報記憶手段と、前記情報処理システムに保存された情報のうち、保護対象である保護資産情報を定義する保護資産定義情報を記憶する保護資産定義情報記憶手段と、前記情報処理システムを構成する要素に関し、名称及び種別を関連付けて定義するシステム要素定義情報を記憶するシステム要素定義情報記憶手段と、前記情報処理システムに実装されるセキュリティ対策機能に関し、種別を示す対策種別情報毎に、前記システム要素定義情報で定義された種別又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策主体可変要素を示す対策主体、前記関与者定義情報で定義された関与者又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策対象可変要素を示す対策対象、及び前記保護資産定義情報で定義された保護資産情報の範囲内で置換される対策操作可変要素を含む操作又は対策操作可変要素を含まない操作を示す対策操作を含む対策内容情報と、前記セキュリティ対策機能により対抗可能な脅威に関し、前記関与者定義情報で定義された関与者の範囲内で置換される脅威主体可変要素を示すか又は第三者を示す脅威主体、前記システム要素定義情報で定義された種別又は前記保護資産定義情報で定義された保護資産情報の範囲内で置換される脅威対象可変要素を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報とを関連付けて示す対策脅威対応表を記憶する対応表記憶手段と、対策情報定義記憶手段と、脅威定義記憶手段と、を備えた脅威分析支援装置に用いられる脅威分析支援プログラムであって、
前記脅威分析支援装置に、
前記対策種別情報の指定を受け付けると、この対策種別情報に関連付けられた前記対策内容情報を表示するステップと、
前記対策内容情報の表示中、当該対策内容情報内の対策主体の選択を受け付けると、この対策主体における対策主体可変要素に関連付けて前記システム要素定義情報で定義された種別の値又は前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した種別の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた種別の値に関連付けられた名称の値又は当該選択を受け付けた保護資産情報の値で当該対策主体可変要素を置換するステップと、
前記対策内容情報の表示中、当該対策内容情報内の対策対象の選択を受け付けると、この対策対象における対策対象可変要素に関連付けて前記関与者定義情報で定義された関与者の値又は前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した関与者の値又は保護資産情報の値の選択を受け付けると、この選択を受け付けた関与者の値又は保護資産情報の値で当該対策対象可変要素を置換するステップと、
前記対策内容情報の表示中、当該対策内容情報内の対策操作に対策操作可変要素を含む場合に対策操作の選択を受け付けると、この対策操作における対策操作可変要素に関連付けて前記保護資産定義情報で定義された保護資産情報の値を表示し、この表示した保護資産情報の値の選択を受け付けると、この選択を受け付けた保護資産情報の値で当該対策操作可変要素を置換するステップと、
前記指定を受け付けた対策種別情報と、この対策種別情報に関連付けられた対策内容情報であって、前記置換された名称の値又は保護資産情報の値を示す対策主体、前記置換された関与者の値又は保護資産情報の値を示す対策対象、及び前記置換された保護資産情報の値を示すか又は操作を示す対策操作を含む当該対策内容情報とを関連付けて示す対策情報定義情報を前記対策情報定義記憶手段に書き込むステップと、
前記対策情報定義情報内の対策情報毎に、前記対策脅威対応表内で前記対策情報の対策種別情報に関連付けられた脅威内容情報の脅威主体に脅威主体可変要素を含むとき、この脅威主体可変要素を、当該対策情報定義情報内で当該対策種別情報に関連付けられた対策対象が示す関与者の値で置換するステップと、
前記対策情報定義情報内の対策情報毎に、前記対策脅威対応表内で前記対策情報の対策種別情報に関連付けられた脅威内容情報内の脅威対象に含まれる脅威対象可変要素を、当該対策情報定義情報内で当該対策種別情報に関連付けられた対策主体、対策対象又は対策操作のうちのいずれかが示す名称の値又は保護資産情報の値で置換するステップと、
前記対策情報定義情報内の対策種別情報に一致する対策種別情報に関連付けられた脅威内容情報であって、前記置換された関与者の値を示す脅威主体、前記置換された名称の値又は保護資産情報の値を示す脅威対象、及び前記脅威操作を含む当該脅威内容情報を第１の脅威定義情報として前記脅威定義記憶手段に書き込むステップと、
を実行させるための脅威分析支援プログラム。 Participant definition information storage means for storing participant definition information for defining participants who can access the information processing system to be analyzed, and protected asset information to be protected among the information stored in the information processing system. Protected asset definition information storage means for storing protected asset definition information to be defined; system element definition information storage means for storing system element definition information that is defined in association with names and types with respect to elements constituting the information processing system; Regarding the security measure function implemented in the information processing system, each measure type information indicating the type is replaced within the type defined in the system element definition information or the protected asset information defined in the protected asset definition information Countermeasure entity indicating a countermeasure entity variable element to be executed, a participant defined in the participant definition information or the protected asset definition information An operation including a countermeasure target indicating a countermeasure target variable element to be replaced within the scope of defined protected asset information and a countermeasure operation variable element to be replaced within the scope of the protected asset information defined in the protected asset definition information or Threat content that is replaced within the scope of the participant defined in the participant definition information regarding the countermeasure content information including the countermeasure operation indicating the operation not including the countermeasure operation variable element and the threat that can be countered by the security countermeasure function Indicates a threat subject indicating a variable element or a third party, a type defined in the system element definition information, or a threat target variable element to be replaced within the scope of protected asset information defined in the protected asset definition information Correspondence table storage means for storing a countermeasure threat correspondence table indicating the threat target and threat content information including threat operation indicating the operation in association with each other, countermeasure information definition storage means, and threat A threat analysis support program used for threat analysis support apparatus having a defined storage means, and
In the threat analysis support device,
Receiving the specification of the countermeasure type information, displaying the countermeasure content information associated with the countermeasure type information;
While the countermeasure content information is being displayed, if the selection of the countermeasure entity in the countermeasure content information is accepted, the type value defined in the system element definition information associated with the countermeasure entity variable element in the countermeasure entity or the protected asset definition When the value of the protected asset information defined in the information is displayed and the selection of the value of the displayed type or the value of the protected asset information is accepted, the value of the name associated with the value of the type that accepted the selection or the selection Replacing the countermeasure entity variable element with the value of the protected asset information that received
When the countermeasure content information is displayed, when the selection of the countermeasure target in the countermeasure content information is accepted, the value of the participant defined in the participant definition information in association with the countermeasure target variable element in the countermeasure target or the protected asset When the value of the protected asset information defined in the definition information is displayed and the selection of the displayed participant's value or the value of the protected asset information is accepted, the value of the participant who received this selection or the value of the protected asset information is displayed. Replacing the countermeasure target variable element;
While the countermeasure content information is being displayed, if the countermeasure operation in the countermeasure content information includes a countermeasure operation variable element and accepts the selection of the countermeasure operation, the protected asset definition information is associated with the countermeasure operation variable element in the countermeasure operation. Displaying the value of the defined protected asset information, and upon receiving a selection of the value of the displayed protected asset information, replacing the countermeasure operation variable element with the value of the protected asset information that has accepted this selection;
The countermeasure type information that has received the designation, and the countermeasure content information associated with the countermeasure type information, the countermeasure entity indicating the value of the replaced name or the value of protected asset information, and the replaced participant Countermeasure information definition information indicating the countermeasure target indicating the value or the value of the protected asset information and the countermeasure content information including the countermeasure operation indicating the value of the replaced protected asset information or the countermeasure operation indicating the operation. Writing to the definition storage means;
When each countermeasure information in the countermeasure information definition information includes a threat subject variable element in the threat subject of the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure threat correspondence table, the threat subject variable element Replacing the value of the participant indicated by the countermeasure target associated with the countermeasure type information in the countermeasure information definition information,
For each countermeasure information in the countermeasure information definition information, a threat target variable element included in the threat target in the threat content information associated with the countermeasure type information of the countermeasure information in the countermeasure threat correspondence table is defined as the countermeasure information definition. Replacing in the information with the name value or the value of the protected asset information indicated by any of the countermeasure entity, countermeasure target or countermeasure operation associated with the countermeasure type information;
Threat content information associated with the countermeasure type information that matches the countermeasure type information in the countermeasure information definition information, the threat subject indicating the value of the replaced participant, the value of the replaced name, or the protected asset Writing a threat target indicating a value of information and the threat content information including the threat operation into the threat definition storage means as first threat definition information;
Threat analysis support program to execute 請求項３に記載の脅威分析支援プログラムにおいて、
前記脅威分析支援装置は差分脅威記憶手段を更に備えており、
前記脅威分析支援装置に、
前記要素又は前記保護資産情報に対する脅威に関し、関与者又は第三者を示す脅威主体、前記要素の名称又は前記保護資産情報を示す脅威対象、及び操作を示す脅威操作を含む脅威内容情報の入力を受け付けると、この脅威内容情報を第２の脅威定義情報として前記脅威定義記憶手段に書き込むステップと、
前記第１及び第２の脅威定義情報を比較することによって、前記第２の脅威定義情報には含まれているが前記第１の脅威定義情報には含まれていない脅威内容情報を検出し、この脅威内容情報を差分脅威情報として前記差分脅威記憶手段に書き込むステップと、
を実行させるための脅威分析支援プログラム。 In the threat analysis support program according to claim 3,
The threat analysis support apparatus further includes differential threat storage means,
In the threat analysis support device,
Regarding threats to the element or the protected asset information, input threat content information including a threat subject indicating a participant or a third party, a threat target indicating the name of the element or the protected asset information, and a threat operation indicating an operation. If accepted, writing the threat content information as second threat definition information in the threat definition storage means;
Comparing the first and second threat definition information to detect threat content information that is included in the second threat definition information but not included in the first threat definition information; Writing the threat content information as differential threat information in the differential threat storage means;
Threat analysis support program to execute

Images